Oracle lança CPU recorde com 1.449 patches e fecha porta explorada pelo ShinyHunters em 300 servidores PeopleSoft

A Oracle publicou nesta terça-feira o Critical Patch Update de julho, com 1.449 patches cobrindo 1.235 CVEs únicos em 32 famílias de produto. É o maior CPU trimestral já divulgado pela empresa e chega com um item que muda o cálculo de risco para qualquer cliente que ainda opere PeopleSoft: a CVE-2026-35278, um RCE pré-autenticado no PeopleTools com CVSS 9.8, é o mesmo defeito que o grupo ShinyHunters explorou para comprometer mais de 300 servidores em mais de 100 organizações entre 27 de maio e 9 de junho.

O caso PeopleSoft merece descompactação. A ShinyHunters encadeou a CVE-2026-35278 com a CVE-2026-35273, uma falha de escalonamento de privilégio que a Oracle já havia coberto em Security Alert fora de ciclo em 10 de junho. A combinação entrega execução de código remoto como usuário raiz no servidor de aplicação. Entre as vítimas confirmadas, o Moody Bible Institute expôs 2,3 milhões de registros pessoais e a NAIC, associação de reguladores de seguro dos EUA, disse em comunicado que dados públicos foram exfiltrados. Universidades, seminários e órgãos estaduais nos EUA e no Reino Unido dominaram a lista, segundo relato da Arctic Wolf e da unidade Mandiant do Google Cloud.

O que essa CPU tem de estruturalmente diferente

Fora do PeopleSoft, o headline técnico é uma CVE de CVSS 9.9 no Oracle Database Server que afeta todas as versões em suporte, da 19.3 até a 23.26.2, incluindo Autonomous Database. Não há evidência pública de exploração ativa, mas a base instalada é a mais crítica do portfólio Oracle: Ericsson, JPMorgan, LATAM e a maioria dos bancos e teles do mundo usam essa linha em produção. Oracle E-Business Suite recebeu 410 patches, 28,3% do total, o pico histórico para o produto. Fusion Middleware, MySQL e GoldenGate somaram outras centenas de correções, sinal de que o ciclo interno da Oracle acelerou a cadência de disclosure.

Do total, 18% dos patches receberam classificação crítica e 52,7% alta severidade, segundo a Tenable, elevando a proporção acima da média dos últimos oito CPUs. Ben Smith, engenheiro-chefe da Tenable, disse em nota que "os defeitos de mais alto risco continuam se concentrando em produtos legados que os clientes deveriam ter aposentado há dois ciclos, mas não aposentaram porque o custo de migração é alto".

Para quem opera PeopleSoft em regime crítico

A janela de exploração da ShinyHunters durou 14 dias antes do primeiro alerta público da Arctic Wolf, e mais 28 dias antes do CPU oficial. Se o cronograma se repete no próximo ciclo, empresas que não aplicarem patch em janela agressiva vão continuar dentro do radar. Nos EUA, o Departamento de Educação passou a exigir que instituições financiadas por Federal Student Aid apliquem correção crítica de RCE em até 72 horas após publicação do CPU, prazo formalizado em memo de agosto de 2025. Na Alemanha, o BSI classifica RCE não autenticada em ERP como "warnstufe rot" e obriga notificação à autoridade competente em 24 horas. Na França, o ANSSI mantém prazo de 5 dias úteis para OIVs, e a agência japonesa NISC atualizou em junho o próprio guia de gestão de vulnerabilidade para exigir teste de patch em pré-produção em janela de 48 horas quando o vendor confirma exploração ativa.

O ponto de leitura interessante fica na sobreposição com o setor de terceirização. TCS, Infosys e Wipro operam PeopleSoft para uma parcela grande do setor de saúde americano e para universidades públicas no Reino Unido e na Austrália. Um contrato típico de managed services dá ao integrador janela de 30 dias para aplicar patch crítico, o que colide diretamente com a nova exigência do Departamento de Educação. Se um cliente estadunidense forçar SLA de 72 horas, o custo de aderência recai sobre o provedor indiano de serviço, não sobre o CIO.

O que não está nesta CPU

A Oracle não indicou timeline para versão que reescreva o subsistema HTTP do PeopleTools onde a CVE-2026-35278 nasce, apenas mitigação por patch. Também não confirmou se as instâncias Autonomous Database já foram atualizadas contra a CVE 9.9 do Database Server, deixando cliente self-managed exposto por uma janela que a Oracle historicamente aplica em 7 a 14 dias. E não há menção pública ao fato de que a ShinyHunters começou a explorar a cadeia PeopleSoft antes de a Oracle publicar advisory formal, uma discussão sobre "responsible disclosure" que a Mandiant abriu no relatório de junho e a Oracle não respondeu em canal oficial.